CVE-2026-121562
ŚrednieCVSS 5.3Streszczenie
CTFd w wersjach od 3.1.0 przed 3.8.7 zawiera podatność ujawnienia informacji w punkcie końcowym /api/v1/teams, która ujawnia niepubliczne wartości niestandardowych pól zespołów. Nieuwierzytelnieni atakujący mogą stronicować żądania GET, aby zbierać ukryte dane rejestracyjne, takie jak adresy e-mail, numery telefonów i identyfikatory studentów, gdy włączony jest tryb zespołowy i publiczna widoczność.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą masowo zbierać dane osobowe uczestników, co może naruszać prywatność i przepisy o ochronie danych.
Rekomendacja
Zaktualizuj CTFd do wersji 3.8.7 lub nowszej i rozważ ograniczenie publicznej widoczności niestandardowych pól zespołów.
Inne podatności w CTFd
Zobacz wszystkie- CVE-2025-29419Wysokie
CTFd v3.7.6 jest podatny na atak typu man-in-the-middle.
- CVE-2026-78145Średnie
Podatność w CTFd do wersji 3.8.4 w funkcji _is_safe_url pliku CTFd/utils/validators/__init__.py. Manipulacja argumentem Next prowadzi do otwartego przekierowania. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Nazwa poprawki to 5d8515842fd1ab2c3a9f2dde9ffca907aa334ea9. Zalecane jest uaktualnienie komponentu.
- CVE-2024-46242Wysokie
W CTFd 3.7.3 w funkcji validate_email w pliku CTFd/utils/validators/__init__.py występuje podatność na atak ReDoS (Regular expression Denial of Service). Atakujący może wysłać spreparowany adres e-mail podczas rejestracji, powodując nadmierne obciążenie serwera.
Oryginalny opis (angielski, źródło NVD)
CTFd 3.1.0 before 3.8.7 contains an information disclosure vulnerability in the /api/v1/teams list endpoint that exposes non-public team custom field values. Unauthenticated attackers can paginate GET requests to collect hidden registration data such as emails, phone numbers, and student IDs when team mode and public visibility are enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS